Anthropic이 오픈소스 프로젝트의 보안 취약점을 찾아주는 서비스 OSS Scanner를 선보였다. 참여하려면 신청(opt-in)해야 한다.
한눈에 보는 OSS Scanner
▼ OSS Scanner 핵심 정리 (출처: Anthropic, The Verge)
| 항목 | 내용 |
|---|---|
| 대상 | 신청한 오픈소스 프로젝트 |
| 비용 | 무료 |
| 검사 주기 | 정기(periodic) |
| 검사 모델 | Anthropic 최상위 모델(Claude Mythos 포함) |
| 사람 검토 | 없음 |
무료, 그리고 정기 검사
Anthropic은 신청한 프로젝트가 "최상위 모델로 하는 철저한 정기 보안 검사를 무료로" 받는다고 밝혔다. 검사는 일회성이 아니라 주기적으로 이뤄진다. 소스에서 확인되는 신청 조건은 신청 절차를 거쳐야 한다는 점뿐이다. 그 밖의 자격 요건이나 검사 주기의 구체 간격은 확인되지 않는다.
사람 검토가 없다는 점
리포트는 사람의 검토나 선별 없이 모델이 전부 생성한다. Anthropic은 이 방식이 더 빠르고 잦은 검사를 가능하게 하지만 "리포트가 틀리거나 유효하지 않을 수 있다"고 밝혔다. 프로젝트 쪽에서 보고된 취약점이 실제인지 직접 가려야 한다는 뜻이다. 보안 문제를 더 일찍 알 수 있다는 이점과 오탐을 걸러내는 부담이 맞바뀌는 구조다.
배경: AI 버그 탐지와 보고 폭주
AI 도구는 최근 몇 달간 오픈소스의 주요 결함을 찾아냈다. 5월에는 거의 모든 리눅스 배포판에 영향을 준 "Copy Fail" 버그가 대표적이다. 반면 AI가 만든 버그 리포트가 쏟아져 대응에 애를 먹는 프로젝트도 있다. 리누스 토르발스(Linus Torvalds)와 Google이 여기에 거론됐다.
